PT-2026-33478
CVE-2026-40525
·
تاريخ النشر
2026-04-17
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenViking السابقة لـ commit c7bb167
الوصف
توجد ثغرة لتجاوز المصادقة في واجهة مسارات HTTP لـ VikingBot OpenAPI. تحدث المشكلة عندما تكون قيمة التكوين
api key غير محددة أو فارغة، مما يؤدي إلى فشل فحص المصادقة بشكل افتراضي. يمكن للمهاجمين عن بُعد الذين لديهم وصول شبكي إلى الخدمة المعرضة استدعاء وظائف التحكم في الروبوت ذات الامتيازات دون تقديم رأس «X-API-Key» صالح. وهذا يسمح بإرسال مطالبات يتحكم فيها المهاجم، وإنشاء أو استخدام جلسات الروبوت، والوصول غير المصرح به إلى الأدوات والتكاملات والأسرار أو البيانات المتاحة للروبوت.التوصيات
تحديث OpenViking إلى التعديل c7bb167 أو إصدار أحدث.
التأكد من تعيين قيمة التكوين
api key بشكل صحيح وعدم تركها فارغة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾